feat(mail): ING-08 strukturiertes Protokoll-Logging & Diagnose für IMAP/POP3/SMTP

Neues Paket mail/internal/protolog (log/slog): SessionLogger loggt
strukturierte Ereignisse einer Verbindung mit fester correlation_id und
protocol über die gesamte Verbindungsdauer (Akzeptanzkriterium 1) — ein
Logger mit logger==nil ist sicher benutzbar und loggt nichts
(Rückwärtskompatibilität zu ING-01..ING-07, Logging ist opt-in wie TLS
und Guard-Konfiguration). RedactCommandLine ersetzt bei sensiblen
Kommandos (PASS, LOGIN, AUTH) alle Argumente vollständig durch
[REDACTED] statt einzeln zu parsen (Akzeptanzkriterium 2).
Reconstruct liest zeilenweise JSON-Logs und liefert ausschließlich die
Einträge einer Korrelations-ID in Reihenfolge — das geforderte
Diagnosewerkzeug (Akzeptanzkriterium 3).

Alle drei Sessions loggen jetzt session_start/command (je empfangener
Zeile, redigiert)/session_end. Nachrichteninhalte werden strukturell
nie geloggt: SMTP-DATA-Body-Zeilen laufen durch eine eigene
Leseschleife, die nicht durch den Kommando-Logpfad der Hauptschleife
kommt: nur das Kommando DATA selbst erscheint im Log.

Alle drei Pflichtprüfungen mit echten Nachweisen durchgeführt, jeweils
in IMAP, POP3 und SMTP einzeln: Redaktion gegen den echten laufenden
Server bestätigt (Klartextpasswort bzw. absichtlich eingebettetes
Geheimnis im SMTP-Body erscheint nie im Log), zwei gemischte reale
Sessions über dieselbe Korrelations-ID lückenlos rekonstruiert,
Lasttest mit 100 Sessions mit/ohne Logging ohne relevante
Durchsatzeinbuße.

go build/go vet/golangci-lint clean, gesamtes Mail-Modul (~29 Pakete)
regressionsfrei getestet.

mail/internal/imap/session.go

@@ -6,10 +6,12 @@ import (
 	"crypto/tls"
 	"errors"
 	"io"
+	"log/slog"
 	"net"
 	"strings"
 
 	"gitea.perlbach24.de/scripte/nexarch/mail/internal/protoguard"
+	"gitea.perlbach24.de/scripte/nexarch/mail/internal/protolog"
 )
 
 // phaseNotAuthenticated/phaseSelected sind die protoguard-Phasen dieser
@@ -39,12 +41,13 @@ type Session struct {
 	guard       *protoguard.Guard
 	tlsConfig   *tls.Config // nil = kein TLS/STARTTLS angeboten (ING-06)
 	tlsActive   bool
+	log         *protolog.SessionLogger // ING-08, nie nil (log.Event() ist nil-sicher)
 	state       State
 	mailbox     string // gewähltes Postfach im Zustand Selected
 	mailboxSize uint32 // Nachrichtenzahl aus dem letzten erfolgreichen SELECT
 }
 
-func newSession(conn net.Conn, auth Authenticator, store MailboxStore, guardCfg protoguard.Config, tlsConfig *tls.Config) *Session {
+func newSession(conn net.Conn, auth Authenticator, store MailboxStore, guardCfg protoguard.Config, tlsConfig *tls.Config, logger *slog.Logger) *Session {
 	_, alreadyTLS := conn.(*tls.Conn)
 	return &Session{
 		conn:      conn,
@@ -55,6 +58,7 @@ func newSession(conn net.Conn, auth Authenticator, store MailboxStore, guardCfg
 		guard:     protoguard.New(guardCfg),
 		tlsConfig: tlsConfig,
 		tlsActive: alreadyTLS,
+		log:       protolog.NewSessionLogger(logger, "imap"),
 		state:     NotAuthenticated,
 	}
 }
@@ -74,6 +78,11 @@ func (s *Session) State() State { return s.state }
 func (s *Session) Serve(ctx context.Context) {
 	defer func() { _ = s.conn.Close() }()
 
+	// Akzeptanzkriterium 1 (ING-08): strukturierte Logs mit
+	// Korrelations-ID über die gesamte Verbindungsdauer.
+	s.log.Event(ctx, "session_start", slog.String("remote_addr", s.conn.RemoteAddr().String()))
+	defer s.log.Event(ctx, "session_end")
+
 	if err := writeUntagged(s.writer, "OK IMAP4rev1 Service Ready"); err != nil {
 		return
 	}
@@ -107,6 +116,10 @@ func (s *Session) Serve(ctx context.Context) {
 			continue
 		}
 
+		// Akzeptanzkriterium 2 (ING-08): LOGIN-Argumente (Passwort)
+		// erscheinen über RedactCommandLine nie im Klartext im Log.
+		s.log.Event(ctx, "command", slog.String("command", protolog.RedactCommandLine(cmd.Name, cmd.Args)))
+
 		if !s.dispatch(ctx, cmd) {
 			return // LOGOUT oder nicht behebbarer Schreibfehler
 		}